⚠️ Borrador. Completa los datos entre [corchetes] y haz que lo revise un abogado o consultor experto en protección de datos antes de publicarlo. Última actualización: [FECHA] · Versión 2026-10.

Contrato de encargo del tratamiento (art. 28 RGPD)

Este contrato se acepta electrónicamente al crear un negocio en Kupla y forma parte de las Condiciones del servicio.

Responsable del tratamiento: el Negocio que contrata Kupla (identificado en su cuenta).
Encargado del tratamiento: [NOMBRE Y APELLIDOS o RAZÓN SOCIAL], con NIF/CIF [NIF] y domicilio en [DIRECCIÓN COMPLETA] («Kupla»).

1. Objeto

Kupla tratará por cuenta del Responsable los datos personales necesarios para prestar el servicio de plataforma de gestión (reservas, clientes, ventas, entrenamientos, nutrición, comunicaciones y app de clientes).

2. Datos y personas afectadas

• Personas: clientes y potenciales clientes del Responsable, y su personal.
• Categorías: identificativos y de contacto; reservas e historial; transacciones; comunicaciones; y, cuando el Responsable lo active y el cliente lo consienta, datos de salud (art. 9 RGPD): peso, medidas, lesiones, entrenamientos y alimentación.

3. Duración

Mientras esté vigente la suscripción. Al terminar, Kupla pondrá los datos a disposición del Responsable para su exportación durante 30 días y después los suprimirá, salvo obligación legal de conservación.

4. Obligaciones de Kupla

1. Tratar los datos solo según las instrucciones documentadas del Responsable (incluidas las que da usando la plataforma) y para la finalidad indicada.
2. Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
3. Aplicar las medidas de seguridad del art. 32 RGPD descritas en el anexo.
4. No recurrir a otros encargados sin autorización. El Responsable autoriza de forma general a los subencargados del anexo; Kupla avisará con antelación de cualquier cambio para que pueda oponerse.
5. Asistir al Responsable para atender los derechos de las personas interesadas (la plataforma permite exportar, rectificar y suprimir datos y gestionar consentimientos).
6. Ayudar al Responsable con sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas.
7. Notificar al Responsable, sin dilación indebida y en todo caso en menos de 48 horas, cualquier violación de seguridad que afecte a sus datos, con la información disponible.
8. Suprimir o devolver los datos al finalizar el servicio.
9. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
10. No acceder a los datos de los clientes del Responsable salvo que sea imprescindible para dar soporte o mantenimiento a petición del Responsable, o por obligación legal.

5. Obligaciones del Responsable

Disponer de base legal para los tratamientos, informar a las personas interesadas, obtener el consentimiento explícito para los datos de salud, mantener seguras sus credenciales y dar instrucciones lícitas.

Anexo I · Medidas de seguridad

• Alojamiento en la Unión Europea (Frankfurt).
• Cifrado en tránsito (TLS) y en reposo.
• Verificación en dos pasos obligatoria para el personal del Responsable y para la administración de Kupla.
• Aislamiento de los datos de cada negocio mediante reglas de seguridad a nivel de fila (RLS) en la base de datos, verificado con pruebas automáticas.
• Los clientes finales solo acceden a sus propios datos y escriben únicamente mediante funciones validadas.
• Principio de mínimo privilegio y roles (propietario, administrador, empleado).
• Registro de auditoría de cambios.
• Registro inmutable de consentimientos.
• Copias de seguridad diarias.
• Contraseñas robustas y protección frente a intentos repetidos.
• Política de seguridad de contenidos (CSP) y cabeceras de seguridad en la web.

Anexo II · Subencargados autorizados